CVE-2023-7115: podatność w wtyczce Page Builder: Pagelayer dla WordPress

Co wiadomo

Wtyczka Page Builder: Pagelayer dla WordPress w wersjach przed 1.8.1 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. Może to skutkować przejęciem sesji, defacementem strony lub innymi atakami skierowanymi na użytkowników i infrastrukturę. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko związane z uprawnieniami oraz konfiguracją multisite.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Page Builder: Pagelayer do wersji 1.8.1 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, należy przejrzeć konfigurację multisite i rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference